CẢNH BÁO APT

Nhóm tin tặc Kimsuky (Velvet Chollima) do Triều Tiên tài trợ vừa bị phát hiện triển khai các chiến dịch tấn công tinh vi trong năm 2026, nhắm vào các thực thể quân sự và doanh nghiệp Hàn Quốc bằng cách sử dụng các biến thể mã độc mới như HTTPSpy, HelloDoor và kỹ thuật lạm dụng VS Code Tunneling.

Chiến dịch lừa đảo qua trang Webex giả mạo

Kimsuky đã sử dụng các kỹ thuật thao túng tâm lý (social engineering) tiên tiến, bao gồm việc giả mạo các trang cài đặt phần mềm bảo mật và tạo trang họp Cisco Webex giả. Tin tặc lợi dụng lịch trình họp thực tế của nạn nhân để đánh lừa họ tải xuống các tệp thực thi độc hại dưới dạng các bản vá lỗi camera hoặc bộ cài đặt phần mềm bảo mật như nProtect Online Security và AhnLab Safe Transaction (ASTx).

Kỹ thuật JSONPing

Sử dụng JSONP để truy vấn máy chủ cục bộ trên thiết bị nạn nhân, xác minh trạng thái thực thi của mã độc trong thời gian thực trước khi hiển thị lời nhắc cài đặt.

Lạm dụng VS Code

Sử dụng tính năng Microsoft Visual Studio Code Remote Tunneling để thiết lập quyền truy cập từ xa ẩn nấp dưới dạng các tiến trình hợp pháp, vượt qua các hệ thống phòng thủ truyền thống.

HTTPSpy và kho vũ khí mã độc mở rộng

Trọng tâm của các đợt tấn công là HTTPSpy, một Trojan truy cập từ xa (RAT) đầy đủ tính năng. Ngoài ra, nhóm này còn triển khai một loạt mã độc mới được phát triển bằng ngôn ngữ lập trình Rust và có sự hỗ trợ của mô hình ngôn ngữ lớn (LLM).

HelloDoor: Biến thể dựa trên Rust, được phát hiện lần đầu vào tháng 8/2025, hỗ trợ các lệnh shell cơ bản và duy trì kết nối.
HttpMalice: Biến thể backdoor mới nhất của dòng PebbleDash, có khả năng thu thập thông tin hệ thống, chụp màn hình và tải mã độc vào bộ nhớ.
AppleSeed: Gồm hai phiên bản Dropper và Spy, chuyên dùng để đánh cắp tài liệu, dữ liệu gõ phím và trích xuất chứng thư số GPKI.
HttpTroy: Được phân phối qua trình tải MemLoad, cho phép điều khiển từ xa và xóa dấu vết sau khi tấn công.

Hành động khẩn cấp cho doanh nghiệp

Giám sát VS Code: Theo dõi các tiến trình thực thi của code.exe đi kèm tham số --tunnel hoặc tunnel trên các thiết bị không thuộc bộ phận lập trình.
Kiểm soát phần mềm: Chỉ tải xuống và cài đặt phần mềm bảo mật từ các nguồn chính thức của nhà cung cấp, tuyệt đối không chạy các tệp .jse, .pif hoặc .scr từ email/web lạ.
Xác thực đa yếu tố (MFA): Triển khai MFA cho tất cả các tài khoản doanh nghiệp, đặc biệt là các công cụ cộng tác như Webex và Microsoft Teams.
Săn tìm mối đe dọa: Kiểm tra các yêu cầu mạng bất thường liên quan đến Cloudflare Quick Tunnels và DWAgent.

Nguồn tham khảo: The Hacker News, ENKI, Kaspersky Security

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Nhóm tin tặc Kimsuky triển khai HTTPSpy và loạt mã độc mới qua VS Code Tunneling